PWSteal.Trojan

Først henter du spybot : http://www.spywarefri.dk/vaerktoj.htm#spybot
direkte link : http://download.com.com/3000-2144-10122137.html?part=104443&subj=dlpage&tag=button

Installer og kør Spybot, opdater online, scan, alle filer den har fundet, der er røde skal markeres, tryk så på afhjælp valgte problemer, derefter genstarter du

Derefter hijackthis : http://www.spywarefri.dk/vaerktoj.htm#hijackthis
direkte link :        http://www.webattack.com/get/hijackthis.html
den udpakker du og kører Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.

Hej Andersenph, tak for det hurtige svar!! Vil det sige, at når jeg har gjort dette, er virussen fjernet??

nej.. han vil fjerne den manuelt..

men her står hvordan du ellers kan gøre selv >> http://securityresponse.symantec.com/avcenter/venc/data/pwsteal.salira.html
hvis XP så husk lige >> http://vil.nai.com/vil/SystemHelpDocs/DisableSysRestore.htm

og prøv dette program > http://www.misec.net/trojanhunter/

så er den væk..O)
Men check her om den er >>http://housecall.trendmicro.com/housecall/start_corp.asp

Det som Bartfreak siger i lægmandssprog er at jeg vil guide dig igennem programmet hijackthis, som fjerner spyware og vira og worms

Spybot fjerner noget, men resten skal vi selv ordne.
Kom med en logfil fra hijackthis efter du har prøvet trojanhunter som Bartfreak foreslår du skal bruge. Trojanhunter tager mange trojanere, men ikke dem alle...

hvad er lægmandssprog ..*G*

Høh ja det jo det :O)

Knap så kompliceret og indforstået kan man vel oversætte det til

Så har jeg kørt Trojanhunter, samt tjekket det på http://housecall.trendmicro.com/housecall/start_corp.asp, samt på mit antivirus-program. Virussen er der stadig!
Jeg har også downloaded Hijackthis, og her er logfilen:
Logfile of HijackThis v1.97.7
Scan saved at 21:57:02, on 25-05-2003
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\System32\alg.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\sistray.EXE
C:\Programmer\BearShare\BearShare.exe
C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programmer\BearShare\BearShare.exe
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\khooker.exe
C:\Programmer\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\TEXTware\HotKey\TWALINK.EXE
C:\Programmer\Microsoft Office\Office\1030\OLFSNT40.EXE
C:\Programmer\Internet Explorer\iexplore.exe
C:\Documents and Settings\Jacob Bentholm\Skrivebord\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programmer\MyWay\myBar\1.bin\MYBAR.DLL
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmer\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programmer\MyWay\myBar\1.bin\MYBAR.DLL
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [] C:\WINDOWS\Options\OEMReset.exe /Audit
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [BearShare] "C:\Programmer\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] C:\Programmer\Fælles filer\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programmer\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [THGuard] "C:\Programmer\TrojanHunter 3.8\THGuard.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - Global Startup: HotKey.lnk = C:\Programmer\TEXTware\HotKey\TWALINK.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Symantec WinFax Starter Port.lnk = C:\Programmer\Microsoft Office\Office\1030\OLFSNT40.EXE
O8 - Extra context menu item: Read By Natural Voice Reader - C:\Programmer\Natural Voice Reader Standard\read.html
O9 - Extra button: Natural Reader (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://active.macromedia.com/director/cabs/sw.cab
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {597C45C2-2D39-11D5-8D53-0050048383FE} (OPUCatalog Class) - http://office.microsoft.com/productupdates/content/opuc.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004033001/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37673.4893287037
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - https://www-secure.symantec.com/region/reg_eu/techsupp/activedata/ActiveData.cab


Håber du/ I kan hjælpe med at fjerne den virus (PWSteal.Trojan)!

i know andersenph.. derfor trend.O)
god arbejdslyst.

Ja men trend nappede den øjensynligt ikke....
-> cardiac havde du slået systemgendannelse fra da du scannede på housecall?

Nå men ellers kommer der lige en smøre her :O)

Først opretter du en mappe kun til hijackthis og lægger programmet derover.

Du skal nu til at i gang med at fixe. Allerførst skal du slå systemgendannelse fra. Hvis du ikke ved hvordan du gør det så kig her: http://www.arlet.dk/systemgendannelsen.htm derefter skal du åbne hijackthis. Du skal at sætte en vinge ud for disse filer jeg har skrevet nedeunder. Når du har gjort det så lukker du alle andre vinduer ned, det er meget vigtigt at det eneste vindue som er åbent er HijackThis vinduet. Klik på Fix checkede.

Her er de filer, du skal fixe:
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programmer\MyWay\myBar\1.bin\MYBAR.DLL
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programmer\MyWay\myBar\1.bin\MYBAR.DLL
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe"  -osboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Symantec WinFax Starter Port.lnk = C:\Programmer\Microsoft Office\Office\1030\OLFSNT40.EXE
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) –

Disse programmer skal slettes i fejlsikret tilstand. Du genstarter og trykker F8 når Windows starter op.

Søg efter disse filer:
C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe


Derefter genstarter du og sender en ny log ind til check
Du må ikke slå systemgendannelse til før vi har sagt god for din log.

Dette fjerner ikke virussen, men alt andet snavs fra din maskine….

Har du set på dette link om hvordan du fjerner den?
http://securityresponse.symantec.com/avcenter/venc/data/pwsteal.salira.html

Hejsa Andersenph!
Da jeg scannede havde jeg slået systemgendannelse fra! Men jeg har lige et spørgsmål mere inde jeg begynder:
Skal jeg være i fejlsikkert tilstad inden jeg overhovedet går igang?
Og kan det passe at jeg skal slette:
O4 - Global Startup: Microsoft Office.lnk = C:\Programmer\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Symantec WinFax Starter Port.lnk = C:\Programmer\Microsoft Office\Office\1030\OLFSNT40.EXE

sorry men, har du scannet med trend, efter du har fået virusen.??
Måske irrealevant.?

...Lige et par spørgsmål mere: Er virussen ikke PWSteal.Troja? På den nævnte side står der PWSteal.Salira. Er det den samme?? Hvor sletter jeg filerne, og er det efter jeg har fixet dem også genstartet i fejlsikret tilstand??
Undskyld alle de spørgsmål, men soom nævnt er jeg ikke den med vakse ved en computer....!

Ja du skal slette 04 værdierne. De ligger bare og bruger ressourcer.
Først starter du hijack op. Så scanner du. Så markeer du dem jeg har bedt dig om.
Så fixer du.
Derefter sletter du:
C:\Programmer\Fælles filer\Real\Update_OB\realsched.exe
Kan det ikke lade sig gøre skal du gøre det i fejlsikret tilstand.
Håber jeg har forklaret det godt nok. Ellers siger du til.

Nu har jeg så gjort alt det du skrev, og den nye (..og gerne forbedret) log er:
Logfile of HijackThis v1.97.7
Scan saved at 23:10:11, on 25-05-2003
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmer\Fælles filer\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\alg.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\sistray.EXE
C:\Programmer\BearShare\BearShare.exe
C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
C:\Programmer\BearShare\BearShare.exe
C:\WINDOWS\System32\khooker.exe
C:\Programmer\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\Programmer\TEXTware\HotKey\TWALINK.EXE
C:\Documents and Settings\All Users\Dokumenter\HIghjack\HijackThis.exe
C:\WINDOWS\System32\imapi.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmer\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmer\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [] C:\WINDOWS\Options\OEMReset.exe /Audit
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [BearShare] "C:\Programmer\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programmer\Fælles filer\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] C:\Programmer\Fælles filer\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programmer\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [THGuard] "C:\Programmer\TrojanHunter 3.8\THGuard.exe"
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O4 - Global Startup: HotKey.lnk = C:\Programmer\TEXTware\HotKey\TWALINK.EXE
O8 - Extra context menu item: Read By Natural Voice Reader - C:\Programmer\Natural Voice Reader Standard\read.html
O9 - Extra button: Natural Reader (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://active.macromedia.com/director/cabs/sw.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {597C45C2-2D39-11D5-8D53-0050048383FE} (OPUCatalog Class) - http://office.microsoft.com/productupdates/content/opuc.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004033001/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37673.4893287037
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - https://www-secure.symantec.com/region/reg_eu/techsupp/activedata/ActiveData.cab


Hvad skal jeg nu gøre for at fjerne den irriterende virus??
Igen mange tak for alt din hjælp indtil videre!!

tak for karma, men der findes rigtigt mange udgaver, undskyld for spam...O)

Jeg har nu fulgt den anvisning til, hvordan man fjerner virussen... Men når jeg prøver at slette den i min antivirusprogram vil dette stadig ikke fjerne den, så er der en anden løsning??

Inden vi går videre, så bliver du nødt til at fjerne P2Pnetworking.
Det gør du i kontrolpanel -> tilføj/fjern programmer...

Jeg har nu fjernet P2Pnetworking! Hvad skal jeg så gøre nu??

Tryk start -> kør og skriv regedit.
Følg stien til:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Slet værdien:
winrarshell

Så går du til:
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run
Der sletter du værdien:
winrarshell

Så går du til:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\AutoComplete

Og sletter:
Use AutoComplete

Så går du til:
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main
Slet værdien:
FormSuggest Passwords
Use FormSuggest

Så daffer du ned til:
HKEY_USERS\.DEFAULT\Software\
Der sletter du:
BGM

Genstart og slå systemgendannelsen til igen.
Så skulle den være klaret....

Hey, nu er jeg virkelig blevet fovirret: Der er ingen winrarshell i både HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
og
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run
????

Der er heller ikke noget Autocomplete!

...jeg har faktisk slet ikke nogen af de filer jeg skal slette....! Er jeg totalt fucked nu eller hvad???

Næ så er du ren ;O)

Kan det passe, for jeg kørte virusscan og der stod stadig, at min computer er inficeret med PWSteal.Trojan i C:\Documents and Settings\Lokale indstillinger\Temporary Internet Files\Content.IE5\AD30T07M\dtc32_EN_XP[1].cab
????

Tøm dine midlertidige internetfiler. Det kan være der ligger en rest der...

Det gør du i funktioner -> internetindstillinger -> slet filer både offline og online indhold. Slet dine cookies nu mens du er i gang...

Hurra!!!! Min computer er endelig virusfri igen! Har lige kørt virusscan igen og der var ingen inficeret filer...
Tusind tak for hjælpen!!

Det var så lidt. Det glæder mig at hjælpe dig :O)